CVE-2025-25747 - Vulnerabilidad XSS Reflejado en HotelDruid 3.0.7

Descripción

Vulnerabilidad de Cross Site Scripting en DigitalDruid HotelDruid v.3.0.7 permite a un atacante ejecutar código arbitrario y obtener información sensible a través del parámetro ripristina_backup en el endpoint crea_backup.php

---

Severidad e Impacto

Impacto

Un atacante podría engañar a un usuario autenticado para que visite una URL manipulada, lo que desencadenaría JavaScript malicioso en su navegador. Las consecuencias potenciales incluyen:

• Secuestro de Sesión: Un atacante podría robar cookies de sesión, obteniendo acceso no autorizado a la cuenta del usuario.
• Phishing o Entrega de Malware: El usuario podría ser redirigido a sitios web maliciosos, o scripts controlados por el atacante podrían inyectar contenido malicioso directamente en la interfaz.
• Abuso de Privilegios Administrativos: Si se explota contra un administrador, el atacante podría modificar la configuración del sistema o manipular datos sensibles.

---

Prueba de Concepto (PoC)

PoC 1 - Inyección de Alerta

http://localhost/hoteldruid/crea_backup.php?anno=2025&id_sessione=<valid_session_id>&azione=SI&ripristina_backup=%22%3E%3CscrIpt%3Ealert%28%27Huy%20Vo%20Found%20This%20Vulnerability%27%29%3B%3C%2FscrIpt%3E&dati_conn=attuali&mantieni_anni=1

Resultado: Una alerta emergente con el mensaje “Huy Vo Found This Vulnerability” confirma la ejecución exitosa de XSS.

PoC 2 - Redirección Externa

http://localhost/hoteldruid/crea_backup.php?anno=2025&id_sessione=<valid_session_id>&azione=SI&ripristina_backup="><scrIpt>window.location.href='https://www.facebook.com';</scrIpt>&dati_conn=attuali&mantieni_anni=1

Resultado: El navegador redirige automáticamente a Facebook.

---

Análisis

Antecedentes

HotelDruid es un sistema de gestión de propiedades de código abierto utilizado para gestionar reservas, habitaciones y facturación para hoteles, B&Bs y otros negocios de hospitalidad. Está basado en web, típicamente instalado en servidores locales y accedido mediante navegador. Dada su interfaz web y naturaleza administrativa, la seguridad sólida es crucial, especialmente para funciones autenticadas.

---

Detalles de la Vulnerabilidad

El endpoint crea_backup.php procesa el parámetro ripristina_backup sin saneamiento ni codificación, reflejando directamente la entrada del usuario en la página. Esto permite a un atacante crear una URL maliciosa que inyecta JavaScript arbitrario en la página renderizada para un usuario autenticado.

Detalles Técnicos Clave

• Parámetro Afectado: ripristina_backup
• Endpoint Afectado: crea_backup.php
• Tipo de Ataque: Cross-Site Scripting Reflejado (XSS)
• Precondición: Requiere una sesión autenticada válida (id_sessione)

Flujo del Ataque

1. El atacante crea una URL maliciosa con la carga útil inyectada en ripristina_backup.
2. El atacante envía esta URL a una víctima autenticada (por ejemplo, mediante correo de phishing, mensaje de chat).
3. La víctima hace clic en la URL mientras está autenticada, activando el JavaScript malicioso en su navegador.
4. El script se ejecuta con el contexto de sesión de la víctima, permitiendo:
   • Robo de cookie de sesión (si HttpOnly no está configurado)
   • Redirección a sitios controlados por el atacante
   • Inyección de contenido malicioso en la interfaz

---

Mitigación / Parcheo

Recomendaciones para Desarrolladores

• Validación de Entrada: Validar toda la entrada proporcionada por el usuario en el lado del servidor.
• Codificación de Salida: Codificar adecuadamente toda la salida antes de renderizar (por ejemplo, usar htmlspecialchars() en PHP para codificar los caracteres < y >).
• Política de Seguridad de Contenido (CSP): Implementar una política de seguridad de contenido estricta para reducir el impacto de scripts inyectados.
• Gestión de Sesiones: Asegurar que las sesiones no estén expuestas en parámetros GET (usar cookies seguras con banderas HttpOnly y SameSite).

---

Cronología y Créditos

• Fecha de Descubrimiento: 16 de enero de 2025
• Notificación al Vendedor: 17 de enero de 2025
• Asignación CVE de MITRE: CVE-2025-25747, 27 de febrero de 2025
• Divulgación Pública: 7 de marzo de 2025
• Investigador: Huy Vo (Investigador de Seguridad)